hvordan udfylder jeg spørgsmålet om VPN og sikker fjernadgang

Spørgsmålet går længere end kun VPN

Et VPN er én teknik, men spørgsmålet selv handler om fjernlysadgangssikkerhed som helhed. Det falder under punkt (i) af de ti foranstaltninger i artikel 21, stk. 2 i NIS2: sikkerhed for personale, adgangspolitik og styring af virksomhedsressourcer. En kunde, der spørger om "sikret fjernadgang", ønsker normalt at vide, om der er et VPN eller lignende krypteret forbindelse, eller om multifaktor-godkendelse er obligatorisk, og om adgangen er begrænset til det, som en person har brug for til sin funktion. Svar derfor ikke blot "ja, vi bruger VPN" — tilføj, om det er obligatorisk for al ekstern adgang, og om der er en tidsbegrænsning eller automatisk log-ud på det.

Hvis du ikke har VPN, men et andet mekanisme — en zero-trust-løsning, en gateway med certifikat-godkendelse, et cloudmiljø uden lokalt netværk — så er "nej" på det ordlydende VPN-spørgsmål ikke forkert, men ufuldstændigt. Beskrive i så fald, hvad der faktisk bruges, for dit kundes portal spørger faktisk efter formålet (krypteret, kontrolleret adgang), ikke efter det specifikke produkt. Mangler multifaktor-godkendelse på den eksterne adgang, er det et separat spørgsmål, der ofte dukker op igen på listen, se bruges multifaktor-godkendelse til adgang til virksomhedssystemer. Hvis du intet har dokumenteret om, hvem der må logge på eksternt og med hvilke rettigheder, vedrører det også det bredere spørgsmål om adgangspolitik, se er tilgangspolitikken fastlagt, herunder styring af virksomhedens ressourcer.

Hvor det står i direktivet og normen

Artikel 21, stk. 2, litra i i direktiv (EU) 2022/2555 nævner sikkerhed for personale, adgangspolitik og styring af virksomhedsressourcer som en af de ti obligatoriske foranstaltninger; fjernadgang falder ind under det. ISO/IEC 27001 Annex A uddyber dette yderligere med specifikke styringsforanstaltninger for adgangssikkerhed og netværkssikkerhed, hvor VPN-brug typisk dokumenteres. Cybersikkerhedsloven, den danske omfatning af NIS2, træder i kraft den 15. august 2026 og fastlægger de samme ti foranstaltninger for enheder, der falder ind under loven.